Добавь правило для брандмауэра: добавь правило для источника и правило для назначения.

Привет, хотел бы возродить эту старую тему вместо открытия нового запроса на функцию. Сейчас я использую правила файрвола на хосте, чтобы маршрутизировать определенные сайты через VPN-интерфейс, а не маршрутизировать все подряд. В wiki Mikrotik есть скрипт для этого (немного грязное решение, но работает): https://wiki.mikrotik.com/wiki/Use_host_names_in_firewall_rules. Я использовал другой скрипт отсюда: http://wiki.azotel.com/mikrotik-use-host-names-in-the-firewall. Мне кажется, он лучше, чем скрипт из wiki, потому что он использует DNS-кэш для обновления списка адресов, а я использую этот список в mangle для маршрутизации трафика через VPN-маршрут. Он хорошо справляется с сайтами, у которых несколько IP-адресов. Я все равно считаю это грязным решением, особенно потому что мне приходится планировать запуск скрипта (вместо того чтобы полагаться на TTL записи DNS), и список адресов будет заполнен IP-адресами. Я думаю, что файрвол RouterOS должен поддерживать имена хостов «из коробки» без скриптов. Это будет полезно при маршрутизации определенных сайтов или блокировке сайтов в kid control. Решение, которое я представляю, заключается в том, чтобы просто добавить имя хоста в поле dst address (dst host?) правила файрвола, и когда пользователь делает запрос, файрвол должен искать в DNS-кэше запрошенный dst IP и, если он соответствует полю dst host в определенном правиле файрвола, действовать соответствующим образом.

С уважением

Обновляются ли записи в списке адресов брандмауэра /ip firewall address-list DNS при изменении зарегистрированных IP-адресов?

Спасибо!

Судя по тому, что у меня сейчас есть под рукой, это реализовано в 6.36.3, но отсутствует в 6.34.2, так что где-то между этими версиями. Поддержка нескольких IP-адресов для имени хоста есть, хотя эта часть может не быть полностью надежной в некоторых случаях. Сайт может выдавать разные адреса разным клиентам, поэтому если ваш роутер использует один DNS-разрешатель, а подключенные устройства — другой, они могут получить разные адреса для одного и того же имени хоста. И если вы будете использовать такой список адресов, например, для блокировки или разрешения доступа к чему-то, это может не сработать. Поэтому лучше, если все подключенные устройства будут использовать роутер в качестве своего DNS-разрешателя, чтобы быть уверенным, что у них одни и те же данные.

Более двух лет в ROS. Поискал на форуме: блокировка Facebook на Mikrotik. Кажется, в примечаниях к релизу было: dynamic_blacklist. Да, это умеет работать с сайтами с несколькими IP-адресами и IPv6. Попробуйте: tapatalk.com, whatsapp.com.

Это потребовало бы изменения принципа работы. Сейчас вы указываете ему хостнейм, и роутер активно его разрешает. Очевидно, что он не может пытаться разрешить все возможные комбинации. Значит, ему придется делать как вы предлагаете, не разрешать ничего активно, а только смотреть, что уже есть в кэше. Но это не подойдет для всех сценариев. Например, мне может понадобиться использовать список адресов, чтобы разрешить удаленный доступ откуда-то, а источником будет адрес, на который указывает какой-то хостнейм. Сейчас это работает, но не будет работать, если адреса будут браться только из кэша, потому что роутер не будет разрешать хостнейм, и он не будет закеширован. Возможно, можно оставить как есть для обычных хостнеймов, а то, что вы предлагаете, использовать только для вайлдкарт. Но людям придется понимать, как это работает, и многие не поймут, так что это может быть немного запутанно.

Еще одно отличие (редакция: ну, это, по сути, тот же принцип) в том, что теперь это работает независимо, и список адресов будет содержать адрес (адреса) даже тогда, когда ничто не использует DNS-разрешатель роутера (например, устройство может иметь жестко заданный 8.8.8.8). Да, это не абсолютно надежно сейчас, некоторые сайты выдают случайным образом несколько адресов, так что если так, это не очень-то и полезно. Конечно, это можно решить, перенаправив все DNS-запросы на роутер. Слово "путаница" может быть слишком сильным, но скажем, немного менее предсказуемо, с немного повышенной вероятностью не сделать то, что ожидается. Но способ сопоставлять все поддомены был бы полезен, это правда. Нужно как-то убедить MikroTik, чтобы они придумали что-нибудь.